linux, можно ли настроить автоматический бан подсетей при ddos атаках?

Ты хочешь, чтобы кто-нибудь поставил это правило у себя, сэмулировал DDOS-атаку и сказал тебе? :)

logpath = /var/log/nginx/access.log # или ваш лог

Т.е. вопрос только про nginx ?

дипсик много чего насоветовал, попробую, конечно, сам)))

думал, может кто такой бан уже делал и имеет советы по существу, а не вообще)))

Мда... даже на конкретный вопрос не осилили ответить...

Совет по существу:

Против DDOS на своем (целевом для атаки) сервере ты ничего не сможешь сделать, твой Интернет-канал просто будет забит на 100% вне зависимости от того, что у тебя написано в фаерволле.

Защитой от DDOS занимается вышестоящий пир (твой провайдер) или специализированные организации, через которых ты перенаправишь свой трафик в случае атаки.

INPUT -s /24 -j DROP

Если уж банишь сразу /24 масками, то советую просто

iptables -D INPUT -s 0.0.0.0/0 -j DROP

визуально похоже, но, как минимум, правила должны создаваться в своей цепочке

filter = ddos

самое интересное дипсик не показал? Знал я одного товарища, который защищался баном всего и всех, а потом он добавил в свой вордпресс какой-то плагин, который делал много запросов, и моментально забанился

Флуд который забивает канал и ddos для веб сервера - это разные вещи.
Защиту от флуда можно реализовать только на вышестоящем оборудовании, а вот защита от простых ddos для веб-сервера вполне реализуема на f2b

iptables -D INPUT -s 0.0.0.0/0 -j DROP

К чему полумеры? shutdown -h now :)

У себя на VPS я просто взял список abuseips и заблокировал их нафиг. Cписок обновляется ежедневно.

Name: bad-ip
Type: hash:ip
Revision: 6
Header: family inet hashsize 65536 maxelem 1048576 bucketsize 12 initval 0xf022b6b9
Size in memory: 3472208
References: 1
Number of entries: 141025

Chain INPUT (policy DROP 1075 packets, 60517 bytes)
 pkts bytes target     prot opt in     out     source               destination
39060 1846K DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            match-set bad-ip src

Набегает примерно мегабайт запросов в день. Аптайм из вывода - два дня.

Правильный способ блокировки адресов - через ipset (замена правил в iptables стоит очень дорого).

banaction = iptables-ipset

Для добавления/удаления ip-адреса в BL выполняются команды actionban/actionunban.
В action.d/iptables-ipset.conf

actionban = ipset -exist add <ipmset> <ip> timeout <ipsettime>
actionunban = ipset -exist del <ipmset> <ip>

1. fail2ban - это не от ддос атак.
2. Да он может банить сетки.

примерно мегабайт запросов в день

Очень полезно, конечно.

А что? В ssh и web порты долбёжка стала практически нулевая.

А хотя если этот мегабайт только SYN-ы то может и норм.

Но баня по чьим-то спискам ты рискуешь забанить кого-то кого не надо, вплоть до себя самого.

забанить кого-то кого не надо

Это уже не мои проблемы))

вплоть до себя самого.

port knocking прописан. Пока что ни разу не пригодился.

я столкнулся с тем что мой заказчик запретил использовать fail2ban поскольку он блокирует все запросы в том числе нужные. получается что клиенты теряют доступ к сайту. если блокируешь сайт. надо именно фильтровать с целью выявления хороших и плохих запросов. для этого наверно поможет mod security.

Никак, забей.

Защитой от DDOS должен заниматься, как минимум, твой «сосед сверху» (ЕВПОЧЯ(.

А у тебя может быть связка из каких-нибудь IDS/IPS+лямка к «соседу» - но весь этот ералаш требует серьезных денег и обработки рашпилем (не напильником даже).

Говорю, как бывший ведущий инженер-программист Ростелекома (фу), с нуля запускавший новое ядро, получавший статус LIR и прочие веселушки.